Nginx 通过 SNI 字段匹配独立 server 块实现多域名 HTTPS，每个域名需专属 server 块、精确 server_name 和对应证书路径；无 SNI 请求由 default_server 或首个块处理；可用 openssl s_client 验证证书是否按域名正确返回。

要让 Nginx 在单个 IP 上为不同域名自动加载对应 HTTPS 证书，核心不是“动态选择”，而是靠 TLS 握手初期的 SNI 字段触发 server 块匹配——每个域名必须有独立、完整、精准配置的 server 块。

每个域名配一个独立的 server 块

不能把多个域名塞进同一个块里“共用”一套证书（除非是 SAN 或泛域名证书）。正确做法是：

• 每个主域名（如 site-a.com）单独写一个 server 块
• 每块都监听 443 ssl http2，且必须带 ssl 参数，否则不加载证书
• server_name 要精确列出该证书覆盖的所有域名，例如：server_name site-a.com www.site-a.com;
• ssl_certificate 和 ssl_certificate_key 必须指向该域名专属的 PEM 文件，路径不能复用、不能写错

证书路径与域名必须一一对应

Nginx 启动时不校验证书文件是否存在或是否匹配域名，但运行时会严格按路径加载：

• 若某块证书路径错误、权限不足或文件缺失，该域名的 HTTPS 请求会失败（常见表现：连接重置、证书不匹配警告）
• 推荐用 certbot 分别申请：比如 certbot --nginx -d site-a.com 和 certbot --nginx -d site-b.net
• 证书目录建议按域名隔离，例如：/etc/nginx/ssl/site-a.com/ 和 /etc/nginx/ssl/site-b.net/
• 泛域名证书（如 *.example.com）只能覆盖同主域下的子域，无法用于 other.net

处理无 SNI 的老旧请求

部分旧客户端（如 Android 4.4 以下、某些嵌入式设备）不发送 SNI 字段，Nginx 会回落到第一个定义的 server 块，或显式标记的 default_server：

• 把最常用站点的块放在配置文件最前面，降低误配概率
• 也可显式声明兜底块：listen 443 ssl http2 default_server;
• 兜底块的 server_name _; 是惯用写法，表示不匹配任何具体域名
• 建议返回 return 444;（关闭连接）或跳转提示页，避免提供无效证书引发浏览器警告

验证 SNI 是否真正生效

别只信浏览器，用 OpenSSL 直接测试 TLS 层行为：

• openssl s_client -connect your.ip:443 -servername site-a.com -showcerts 2>/dev/null | openssl x509 -noout -subject → 应显示 CN = site-a.com
• 换域名再试：-servername site-b.net → 应返回另一张证书的 subject
• 这个测试绕过缓存、CDN 和浏览器中间层，结果最真实